AWS Organizationsのメンバーアカウント閉鎖には7～10日必要

最近、[AWS Organizations](https://docs.aws.amazon.com/ja_jp/organizations/latest/userguide/orgs_introduction.html)に興味を持ち動かし始めた。

セキュリティ上の環境分離は、AWSアカウントを分けてしまえばより確実で簡単なものになるだろうけど、複数AWSアカウントを管理する煩雑さが生じる。その一つはAWSアカウント数だけ請求と支払いが必要になることで、[AWS Black Belt Online Seminar「コストの観点から見るアカウント管理」](
https://www.slideshare.net/AmazonWebServicesJapan/aws-black-belt-online-seminar)でOrganizationsを使えば一括請求を利用できると知ったからだ。

ドキュメントを順に読んでいき、「[チュートリアル : 組織の作成と設定](https://docs.aws.amazon.com/ja_jp/organizations/latest/userguide/orgs_tutorials_basic.html)」で次のようなことをやってみた。

* 組織（Organization）の作成
* メンバーアカウントの作成
* 組織単位（OU：Organization Unit）の作成とメンバーアカウントの整理
* SCP（サービスコントロールポリシー）の作成と適用

メンバーアカウントをOUで組織階層に整理できるのはわかりやすいし、その階層にセキュリティポリシーを割り当てられるのも管理がしやすそうだ。なにより、メンバーアカウントは支払い情報など不要で作成できるので、VPCぐらいの感覚で作成していけそうなのがよい。

さて、一通り試したところで、メンバーアカウントを閉鎖することを考えた。例えば私が複数のWebサービスを提供していて、そのうちの一つを終了することになったら、それに伴ってそこで使っていたメンバーアカウントを閉鎖するだろう。一般的なアカウントの閉鎖では「[使っていない AWS アカウントを停止してみた ｜ DevelopersIO](https://dev.classmethod.jp/cloud/aws/delete_unused_aws_account/)」のような手順を踏めばよいが、[組織からのメンバーアカウントの削除](https://docs.aws.amazon.com/ja_jp/organizations/latest/userguide/orgs_manage_accounts_remove.html)ではまず組織との連結を解除してスタンドアロンの一般的なアカウントにする必要がある。

手順に従い、メンバーアカウントでサインアッププロセスを実行して支払い情報等を登録した後、「連結アカウントの削除」を実行してみると、次のようなエラーが表示される。

> このオペレーションでは待期期間が必要です。

その下には「削除に失敗しました」と赤文字で。金曜の夕方、じゃあ食事でもしてからもう一度やるか、と考える。3時間後、再実行する、次のようなエラーが表示される。

> このオペレーションでは待期期間が必要です。

「オンデマンド・セルフサービス」が[5つの基本的な特徴](https://www.ipa.go.jp/files/000025366.pdf)の1に数えられるクラウドコンピューティングの感覚では、ちょっと長い気がする。でもまあ、契約解除に準ずることだからそういうこともあるのかな、と考える。土曜日、再実行してみないとと思いつつ、きちんと机に向かってパソコンを開く時間が作れない。日曜日の夜、ようやく再実行する。やはり変わらないメッセージを前に、さすがに何か間違えてるかな、と不安になる。

火曜日、やはり変わらないのを見て、まずは目黒の[AWS Loft](https://aws.amazon.com/jp/start-ups/loft/tokyo/)を訪ねて「[Ask an Expert](https://aws.amazon.com/jp/start-ups/loft/faq/)」してみようと思う。そもそも日常的する作業ではない、というかめったにしない作業だから、エキスパートだって実行経験のない人が多そうだけど、たいして遠くないし聞いてみて損はない。でも結果としては、案の定、分からなかった。

ふと思いついて、英語UIでメッセージを確認し、それでGoogle検索してみた。forums.aws.amazon.comの記事が引っかかってきた。

> I am testing out the scripting related to an Account Vending Machine. As such I am creating several test accounts within my organization. In order to clean the inevitable mess of test accounts up, I have gone through the steps of making them each a standalone account (reset password, sign-in as root user, accept EULA, phone verification, the works) but when I now try to Leave the Organization (both from the master and the child account), I'm getting the message:

>> This operation requires a wait period. Try again later.

> Does anybody know what this wait period is? I've been waiting for about 24 hours now and I really want to move on - in particular since my #Accounts Soft Limit is still at five (support call has been initiated but not yet responded to) and is exhausted.

質問内容としては申し分ない。まさに僕がいま悩んでいる問題だ。では回答は？質問者自身が、回答をつけていた。

> Answering my own question: AWS Support has told me seven to ten days. I was eventually able to delete things after seven days indeed.

AWSサポートに問い合わせたところ、この待期期間というのは「7～10日」だったということだ。この人自身は、7日後に無事にアカウントを消せたという。

おおう...つまり、僕は次の週末まで待てば消せたわけだ。「AWS Organizationsのメンバーアカウント閉鎖には7～10日必要」。覚えておこうね、みんな。試験には多分出ないけど。でも知ってたら、僕はこの前の週末をモヤモヤした気分で過ごさずに済んだ。